Schrems II
EuGH C-311/18 — Privacy Shield für ungültig erklärt, SCC + TIA als typische Garantie
TL;DR
Schrems II (EuGH C-311/18 vom 16.07.2020) hat das EU-US Privacy Shield für ungültig erklärt. Als Folge dürfen Datentransfers in Drittländer (außerhalb EU/EWR), für die kein Angemessenheitsbeschluss besteht, nur mit zusätzlichen Garantien erfolgen — typisch Standardvertragsklauseln (SCC 2021/914) plus Transfer Impact Assessment (TIA). Das Data Privacy Framework (DPF, in Kraft 07/2023) bietet ein neues Privacy-Shield-Äquivalent für US-Transfers.
Was ist Schrems II?
Vier Hauptpfeiler nach Schrems II:
- SCC 2021/914 als Standard-Garantie für Drittlandtransfer
- Transfer Impact Assessment (TIA): Bewertung des Drittlands-Niveaus + ggf. zusätzliche Maßnahmen
- Data Privacy Framework (DPF): Angemessenheitsbeschluss für US-Unternehmen, die zertifiziert sind (in Kraft 07/2023, EuG T-553/23 09/2025 bestätigt)
- Binding Corporate Rules (BCR) für konzerninterne Transfers
Praxisbeispiel
Praxisfall: Microsoft 365 mit US-Tochter MS Inc. als Subunternehmer.
- AVV mit Microsoft (EU-Vertragspartner)
- SCC-Anhang für USA-Transfer
- TIA: Zugriffsbefugnisse von US-Behörden (u. a. FISA Section 702) berücksichtigen
- Alternative: DPF, sofern der US-Empfänger in der Data Privacy Framework List geführt wird (vor Nutzung prüfen)
- Praxis: dual track (DPF + SCC) als Risk-Mitigation
Häufig gestellte Fragen
Brauche ich SCC oder reicht DPF?
Wenn das US-Unternehmen DPF-zertifiziert ist (Eintrag in der Data Privacy Framework List): DPF reicht (kein SCC nötig). Wenn nicht zertifiziert: zusätzliche Garantien nötig — typisch SCC + TIA, für konzerninterne Transfers auch BCR. Best Practice: dual track wegen DPF-Stabilität-Unsicherheit.
Wie führe ich ein TIA durch?
5 Schritte: (1) Drittland identifizieren, (2) Schutzniveau prüfen (Behörden-Zugriffsrechte, Rechtsweg), (3) zusätzliche Maßnahmen (Verschlüsselung, Pseudonymisierung), (4) Dokumentation, (5) regelmäßige Review.
Was tun, wenn der DPF gekippt wird?
Gegen das Urteil des EuG zum DPF (T-553/23) ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P); eine Entscheidung lag zum Rechtsstand 17.08.2026 nicht vor. Strategie: SCC als Backup-Garantie bereithalten, Verschlüsselung at-rest mit EU-Schlüsseln, Hosting in EU bevorzugen wo möglich.
Siehe auch
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.